云安全调查：过去一年半80%的企业遭受云数据泄露

IDC的一项调查显示，云安全问题正在急剧恶化，在过去的18个月中，近80％的公司至少经历了一次云数据泄露，而43％的公司报告了10次或更多泄露。根据参与调查的300位CISO的反馈，安全相关的配置错误（67％），对访问设置和活动缺乏足够的可见性（64％）以及身份和访问管理（IAM）许可错误（61％）是他们最关注的云生产环境安全问题。同时，有80％的人报告他们无法识别IaaS/PaaS环境中对敏感数据的过度访问。根据2020年Verizon数据泄露报告，在数据泄露的根源方面，只有黑客攻击排名高于错误配置错误。

尽管接受调查的大多数公司已经在使用IAM、数据防泄漏、数据分类和特权账户管理产品，但仍有超过一半的公司声称这些产品不足以保护云环境。

 ImmuniWeb发布暗网数据泄露监测工具

近日，人工智能应用安全公司ImmuniWeb发布了一个新的免费暗网监测工具，  用于监视和衡量组织在暗网（Dark Web）上的暴露程度。该工具还可以通过免费的API使用，这使其成为SOC安全分析人员及时发现新Web安全和隐私威胁的有用工具。为了改善网络安全专业人员的决策过程，该免费工具可搜索暗网市场，黑客论坛和Surface Web资源（例如Pastebin或GitHub），以了解在售或泄漏的数据的分类架构。

 五角大楼的漏洞神器：Mayhem

ForAllSecure主打“下一代”模糊测试技术，并基于此技术实现模糊测试系统Mayhem。五角大楼上个月与ForAllSecure签订了一份价值4500万美元的合同，以扩大Mayhem在美军中的使用范围，因为军方有太多软件bug急需一个“漏洞大杀器”。一份2018年度的美国政府工作报告发现，美国国防部2012年至2017年之间测试的所有武器系统都存在严重的软件漏洞。

 “虚假”勒索软件解密器的陷阱导致双重加密

一个伪造的STOP Djvu勒索软件解密器正在传播，但实际上，但这只是诱使已经绝望的人们再度感染的陷阱。

虽然诸如Maze、REvil、Netwalker和DoppelPaymer这样的勒索软件因勒索金额高昂而受到了媒体的广泛关注，但名为STOP Djvu的勒索软件正在感染更多的人。据了解，STOP勒索软件是过去一年中最活跃的勒索软件，每天要向ID-勒索软件勒索软件识别服务提交600多个文件。而Emsisoft和Michael Gillespie先前已发布了较旧的STOP Djvu变种的解密器，但较新的变种目前还不能免费解密。而最近出现的伪装的解密器，承诺可以免费解密，但却让受害者再感染了另一种勒索软件，把情况变得更糟糕。为STOP Djvu勒索软件受害者带来二度打击的就是名为Zorab的新勒索软件。Zorab勒索软件的创建者发布了一个伪造的STOP Djvu解密器，该解密器不会免费恢复任何文件，而是使用另一勒索软件对受害者已经加密的所有数据进行再次加密。

 “数字抗疫”之下应该如何保护个人隐私？

新冠肺炎疫情暴发以来，不少国家通过数字技术排查病患、追踪密切接触者，在阻断疫情传播过程中取得了积极成果。在近期全球“经济重启”中，数字技术用于接触者追踪，也被认为是走出“封锁”的必要条件之一。随着主要国家疫情趋于缓和，复工需要更加精准的防疫措施。越来越多的政府开始积极探索数字技术在抗疫领域的应用，希望借助信息科技做好复工与抗疫之间的平衡。在发达国家，尤其是欧洲，对于个人位置等隐私数据的应用也引发了公众对于数据泄露和滥用的担忧，这将影响人们对相关应用程序使用的积极性，从而使数字抗疫技术的效果大打折扣，因此这个过程中的个人数据保护就变得至关重要。中国在全球范围内较早运用了数字技术——“健康码”的方式来抗击疫情，中国的数据运用模式是“中心化”的，这里需要特别关注个人数据的隐私保护，政府须对参与数据收集和运营的公司的个人数据保护情况进行监督和干预;同时，应采取技术手段防止数据泄露;并在一定期限之后(确保今年年底和明年没有第二波疫情的情况下)，中止这些数据的继续使用，或者删除在商业公司的相关数据。此外，随着跨地区人员流动大规模恢复，全国各地“健康码”系统的无缝对接也至关重要。

 “新基建”因你更安全！-网络数据安全标准体系

伴随着5G、物联网等新型基础设施建设(简称：新基建)大规模推进，未来个人信息在网上应用将更加普遍，数据安全挑战也将越来越严峻。未来一旦遇到网络攻击，它带来不仅仅是传统的网络攻击，它的破坏力将会骤增，“新基建”下的网络攻击将从数字空间延伸到物理空间，会造成非常严重的后果。这种攻击不仅仅是针对一辆车，而是会因为一辆车被攻击导致大面积的交通事故。

日前，工信部起草了《网络数据安全标准体系建设指南(征求意见稿)》，通过顶层设计，制定政府引导和市场驱动相结合的网络数据安全标准体系建设方案，有利于“新基建”健康运行。明年标准体系将初步建成，

《建设指南》(征求意见稿)指出，到2021年，初步建立网络数据安全标准体系，有效落实网络数据安全管理要求，基本满足行业网络数据安全保护需要，推进标准在重点企业、重点领域中的应用，研制网络数据安全行业标准20项以上。

到2023年，健全完善网络数据安全标准体系，标准技术水平、应用水平和国际化水平显著提高，有力促进行业网络数据安全保护能力提升，研制网络数据安全行业标准50项以上。网络数据安全标准体系包括基础共性、关键技术、安全管理、重点领域四大类标准。

 威胁情报：突破企业安全能力上限的“魔戒”

如果把企业比作球队，那么安全能力的下限——软硬件安全体系，决定你能否保级，而安全能力的上限——教练和情报工作，决定你能否晋级或夺冠，一球成名还是“突然死亡”。今天，没有人再怀疑威胁情报的重要性，但是在威胁情报的概念、实践和运营方面，企业界依然存在一些误区和难点，例如过于依赖供应商而不是“与业务共生迭代”、缺乏建设评估标准、威胁情报与安全运营体系难以形成闭环等等。在威胁情报的获取渠道上，大家也各显神通。除了少数有专业安全攻防和病毒分析师的团队具备自研潜质外，多数企业还是通过开源社区获取、业内交换和商业购买来获得。那么如何衡量威胁情报建设的好坏呢？威胁情报的终极目标是指导响应，因此，建议从四个维度来设置评价标准—— 延迟、精度、运营、闭环。